Auditoria Infomatica

Alcance de la Auditoría Informática

El alcance de la Auditoría Informática no es nada más que la precisión con que se define el entorno y los límites en que va a desarrollarse la misma y se complementa con los objetivos establecidos para la revisión. El alcance de la Auditoría Informática deberá definirse de forma clara en el Informe Final, detallando no solamente los temas que fueron examinados, sino también indicando cuales se omitieron.

Auditoría de la Seguridad Informática

La Auditoría de la seguridad en la informática abarca los conceptos de seguridad física y lógica. La seguridad física se refiere a la protección del hardware y los soportes de datos, así como la seguridad de los edificios e instalaciones que los albergan. El auditor informático debe contemplar situaciones de incendios, inundaciones, sabotajes, robos, catástrofes naturales, etc.

Por su parte, la seguridad lógica se refiere a la seguridad en el uso de softwares, la protección de los datos, procesos y programas, así como la del acceso ordenado y autorizado de los usuarios a la información.

El auditar la seguridad de los sistemas, también implica que se debe tener cuidado que no existan copias piratas, o bien que, al conectarnos en red con otras computadoras, no exista la posibilidad de transmisión de virus.

Ejemplo: Existe una Aplicación de Seguridad que se llama SEOS, para Unix, que lo que hace es auditar el nivel de Seguridad en todos los servidores, como ser: accesos a archivos, accesos a directorios, que usuario lo hizo, si tenía o no tenía permiso, si no tenía permiso porque falló, entrada de usuarios a cada uno de los servidores, fecha y hora, accesos con password equivocada, cambios de password, etc. La Aplicación lo puede graficar, tirar en números, puede hacer reportes, etc.…

Auditoria de seguridad

Con una auditoría de seguridad se da una visión exacta del nivel de exposición de sus Sistemas de Información a nivel de seguridad.

En la auditoría se verifica la seguridad en la autenticidad, confidencialidad, integridad, disponibilidad y auditabilidad de la información tratada por los sistemas.

Los objetivos de una auditoría de seguridad de los sistemas de información son:

• Revisar la seguridad de los entornos y sistemas.

• Verificar el cumplimiento de la normativa y legislación vigentes

• Elaborar un informe independiente.

• Utilización de estándares ISACA, OSSTMM, ISO/IEC 17799 y CIS

La metodología para una auditoría de sistemas de información establece su ejecución por fases:

1. Definir el alcance de la Auditoría: Análisis Inicial y Plan de Auditoría

2. Recopilación de información, identificación y realización de Pruebas de Auditoría, incluyendo, si se acuerda, acciones de Hacking Ético o análisis de vulnerabilidad de aplicaciones.

3. Análisis

...